UTMは必要ない？不要と言われる理由と、導入すべき企業の判断基準を解説

確認したいポイント	結論	詳細
なぜ必要ないと言われる？	費用と効果が見合わない場合がある	高額なリース契約への不信や、境界を守るだけでは足りない現状が背景にあります。
本当に不要なケースは？	小規模でクラウド中心の環境	社内サーバーがなく、社外での業務が多い会社では効果が限定的になります。
逆に必要なケースは？	社内に守るべき資産がある	共有サーバーがある、端末が多い、取引先から求められるといった条件が該当します。

この記事でわかること

• UTMが不要と言われる4つの理由と、その妥当性
• 導入しなくても支障が少ない企業の条件
• 逆に導入の効果が出やすい企業の条件
• 法的な義務の有無と、国が示している対策の優先順位
• 契約前に確認すべき費用と契約内容の見方

必要かどうかの判断からご相談ください 必要かどうかの判断材料をお出しします。不要と考えられる場合は、その理由をそのままお伝えします。 お問い合わせはこちらから。

「UTMは必要ない」と言われる理由

費用に対する効果が見えにくい

UTMは、導入しても何も起きないことが正常な状態です。効果が数字で表れないため、毎月の支払いだけが積み上がっているように感じられます。

攻撃を防いだという実感が得られにくいという性質は、この機器の宿命です。ログを見れば遮断した通信の記録は残りますが、確認する習慣のある会社は多くありません。

結果として、数年後の契約更新時に「これは本当に必要だったのか」という疑問が出てきます。

高額なリース契約への不信

もう一つの背景が、契約条件をめぐる不信感です。相場を知らないまま契約し、後から他社と比べて割高だったと気づくケースがあります。

リース契約は原則として途中解約ができません。5年や7年という期間で契約したあと、条件を見直せないという点が不満につながりやすい構造です。

機器本体の価格と、月額に含まれるサービスの内訳が説明されないまま契約が進む場合もあります。ここで納得感が得られないと、機器そのものへの不信に変わります。

境界を守るだけでは足りなくなった

技術面の理由もあります。UTMは社内と社外の境界に置いて通信を検査する仕組みです。全員が社内で働き、データが社内サーバーにあった時代には有効な考え方でした。

しかし、テレワークが定着し、業務がクラウドサービスに移った現在、社内を通らない通信が大幅に増えました。社外で作業する端末や、直接クラウドにつながる通信は、社内に置いたUTMの検査を通りません。

この点を捉えて「境界防御はもう古い」という指摘がなされています。技術的には正しい指摘です。

多機能ゆえに性能が出ないことがある

UTMは1台で複数の機能をまかなう機器です。裏を返せば、すべての機能を同時に有効にすると処理の負荷が高まり、カタログの通信速度が出ないことがあります。

特に、暗号化された通信を復号して検査する処理は負荷が大きく、有効にすると通信が遅くなるため実質的に使えないという声もあります。機能があることと、実際に使えることは別の問題です。

関連記事：中小企業にUTMは必要？狙われる実態と、国の支援制度を含めた対策の選び方

UTMが本当に不要なケース

従業員が少なく、社内に守る資産がない

従業員が数名で、社内にサーバーや共有フォルダーを置いていない環境では、UTMの効果は限定的です。守るべき対象が社内ネットワークに存在しないためです。

会計も顧客管理もクラウドサービスで完結しているのであれば、端末側とサービス側の対策のほうが優先度は高くなります。

業務がクラウド中心で、社外での作業が多い

営業担当が外出先で作業する、在宅勤務が中心といった働き方では、通信の多くが社内を経由しません。社内に置いた機器では守れない範囲が広くなります。

この場合、端末そのものを守る対策や、クラウド側でアクセスを制御する仕組みのほうが実態に合っています。

すでに同等の機能を持つ機器がある

契約している法人向け回線のルーターに、ファイアウォールやフィルタリングの機能が備わっていることがあります。既存の機器で足りている部分に、重ねて費用を払う意味はありません。

提案を受けたら、いま使っている機器に何ができるかをまず確認してください。この確認をせずに提案が進むケースは少なくありません。

導入しても運用する人がいない

設置したあと、誰もログを見ない、警告が出ても対応しない、更新の確認もしない。この状態では、高価な通信機器を置いているのと変わりません。

運用まで含めて契約に入っているのか、自社でやる前提なのかは必ず確認してください。自社で対応できないのに運用を前提とした契約は、費用が無駄になります。

必要かどうかの判断からご相談ください

既存のルーターで足りているかどうかも含めて確認します。ご契約中の回線や機器の情報をお知らせください。

関連記事：UTMの耐用年数は何年？法定耐用年数と実際の寿命、買い替えの判断基準を解説

必要かどうかの判断からご相談ください 必要かどうかの判断材料をお出しします。不要と考えられる場合は、その理由をそのままお伝えします。 お問い合わせはこちらから。

それでもUTMが有効なケース

社内にサーバーや共有フォルダーがある

業務データを社内のサーバーやNASに保管している環境では、外部からの侵入を境界で止める意味があります。ランサムウェアによる被害は、こうした共有領域で拡大します。

守るべきものが社内にあるなら、社内と社外の境目に守りを置くという考え方は今も有効です。

端末の数が多く、個別管理が難しい

従業員が数十人規模になると、全員の端末に対策ソフトを入れ、更新を管理するだけでも手間がかかります。設定を守らない端末が1台でもあれば、そこが弱点になります。

入口でまとめて検査する仕組みがあれば、端末側の管理が行き届かない部分を補えるという利点があります。

取引先から対策を求められる

近年増えているのがこの理由です。取引先から、セキュリティ対策の実施状況を問う調査票が届く企業が増えています。対策が不十分と判断されると、取引の継続に影響する場合があります。

技術的な必要性というより、事業上の要請として導入するという判断です。この場合、何を求められているのかを取引先に確認したうえで選ぶべきです。

IT担当者がいない

専任の担当者がいない中小企業にとって、複数の対策を個別に導入して管理するのは現実的ではありません。1台で複数の機能をまかなえる点は、そうした環境では利点になります。

ただし、運用や監視まで業者が担う契約になっているかが前提です。機器を置くだけの契約では、この利点は成立しません。

関連記事：UTMとウイルス対策ソフトの違いは？守る場所と防げる範囲を比べて解説

UTMの設置は義務ではない

導入を義務づける法律はない

まず事実として、企業にUTMの設置を義務づける法律は存在しません。特定の製品や機器を指定して導入を強制する規定は、日本の法令にはありません。

この点は、契約を判断するうえで押さえておくべき前提です。

ただし安全管理措置は求められる

一方で、個人情報を取り扱う事業者には、個人情報保護法にもとづく安全管理措置を講じる義務があります。組織的、人的、物理的、技術的な措置を適切に行うことが求められます。

法律が求めているのは「適切な措置」であって、「UTMの設置」ではありません。何をもって適切とするかは、扱う情報の内容や事業規模によって変わります。

業種によっては指針で求められることがある

医療機関や金融機関など、業界ごとに情報システムの安全管理に関する指針が定められている分野があります。認証制度の取得を目指す場合も、一定の技術的対策が要件になります。

こうした場合でも、要求されるのは機能であって特定の製品ではありません。何が求められているかを確認したうえで、それを満たす手段を選ぶのが正しい順序です。

「義務化された」という説明には注意

契約を急がせるために、法改正で義務になったといった説明がなされることがあります。事実と異なる説明で契約を迫られた場合は、根拠となる法令や条文を示すよう求めてください。

根拠を示せない説明にもとづいて長期契約を結ぶべきではありません。その場で決めず、持ち帰って確認する時間を取ってください。

国が中小企業に示している対策の順序

情報セキュリティ5か条にUTMは含まれない

独立行政法人情報処理推進機構は、中小企業向けの情報セキュリティ対策の指針を公表しています。その中で、まず取り組むべき基本として5つの項目が示されています。

内容は、OSやソフトウェアを最新の状態に保つこと、ウイルス対策ソフトを導入すること、パスワードを強化すること、共有設定を見直すこと、脅威や攻撃の手口を知ることの5つです。

この5項目に、UTMのような専用機器の導入は入っていません。国が中小企業に最初に求めているのは、費用のかからない基本の徹底です。

基本ができていないまま機器を入れても効果は限られる

OSが古いまま、パスワードが単純なまま、共有設定が緩いまま。この状態でUTMだけを導入しても、守れる範囲は限定的です。

端末が持ち出し先で感染して社内に持ち込まれる、USBメモリ経由で入る、といった経路は境界の機器では防げません。弱いところから入られるという原則は変わりません。

順序としては、まず基本の5項目を実施し、そのうえで足りない部分を機器やサービスで補うのが合理的です。

指針は無料で公開されている

この指針は、経営者向けの部分と実務担当者向けの部分に分かれており、自社診断のツールや規程のひな形も付属しています。すべて無料で入手できます。

提案を受ける前に一度目を通しておくと、自社に何が足りていないかを自分の言葉で説明できるようになります。営業担当との会話も具体的になります。

参照：IPA「中小企業の情報セキュリティ対策ガイドライン」

必要かどうかの判断からご相談ください

何から手をつけるべきかの整理からお手伝いします。機器の導入が不要と判断できる場合もあります。

必要かどうかの判断からご相談ください 必要かどうかの判断材料をお出しします。不要と考えられる場合は、その理由をそのままお伝えします。 お問い合わせはこちらから。

代替になる手段と守備範囲の違い

ルーターのファイアウォール機能

法人向け回線のルーターには、基本的なファイアウォール機能が備わっています。外部からの不正なアクセスを遮断する役割は果たします。

ただし、通信の中身を検査してウイルスや不正なプログラムを見つける機能まではありません。入口の鍵とは言えても、持ち物検査まではしていないという違いがあります。

端末側の対策

パソコンやスマートフォン側で不審な動きを検知し、被害の拡大を止める仕組みがあります。社外に持ち出した端末も守れるため、テレワークが多い環境では有効です。

境界の機器では守れない範囲をカバーできる点が利点です。一方、端末ごとに費用がかかるため、台数が多いと総額が膨らみます。

クラウド型のセキュリティサービス

機器を置かず、通信をクラウド上で検査する方式もあります。拠点が複数ある企業や、社外で働く従業員が多い環境に向いています。

機器の老朽化や入れ替えを考えなくて済む点も利点です。ただし、通信がクラウドを経由するため、回線の速度や遅延に影響が出る場合があります。

守備範囲が違うため単純な置き換えにはならない

重要なのは、これらがUTMの完全な代替になるわけではないという点です。守る場所も守る対象も異なります。

社内のサーバーを守るのか、持ち出す端末を守るのか、拠点間の通信を守るのか。自社にとって何が最も守るべきものかを決めてから、手段を選ぶ順序になります。

契約前に確認すべき費用と契約内容

月額の相場感を持っておく

一般的な目安として、小規模な事業所で月5,000円から20,000円程度、中小企業で20,000円から50,000円程度、大規模な環境ではそれ以上とされています。

この幅は接続台数や必要な処理性能によって変わります。提示された金額がこの範囲から大きく外れる場合は、その理由の説明を求めてください。

5年総額とリースの縛りを確認する

月額で提示されると負担が小さく見えますが、比較すべきは契約期間全体の総額です。月額3万円の5年契約であれば、支払いは180万円になります。

リース契約は原則として途中解約ができず、解約する場合は残額の一括精算を求められます。契約年数は慎重に決めてください。

契約に何が含まれているかを分解する

月額の中身を確認します。機器のリース料、ライセンス料、保守サポート、監視サービス。これらがそれぞれいくらなのかを示してもらってください。

特に確認したいのが、設定変更を依頼したときに追加費用が発生するか、警告が出たときに誰が対応するかという点です。ここが曖昧なまま契約すると、後で費用と手間が増えます。

導入後に誰が運用するかを決める

ログの確認、ファームウェアの更新、警告への対応。これらを自社でやるのか、業者に任せるのかを契約前に決めておきます。

業者に任せる場合は、どのような頻度で何を報告してくれるのかを具体的に確認してください。監視していますという説明だけでは、実際に何が行われるのかわかりません。

判断を進めるための確認項目

自社の状況を書き出す

提案を受ける前に、次の項目を書き出してみてください。従業員数、社内サーバーの有無、業務で使うクラウドサービス、社外で働く人の割合、IT担当者の有無、そして守りたい情報の内容です。

この整理をしておくと、提案が自社の実態に合っているかを自分で判断できます。書き出せない項目があれば、そこが検討の出発点になります。

営業担当に質問して答えられるか見る

有効な質問がいくつかあります。「いま使っているルーターの機能では何が足りないのか」「この機能を有効にすると通信速度はどうなるのか」「警告が出たら誰がどう対応するのか」「5年間の総額はいくらか」。

これらに具体的に答えられるかどうかで、その業者の力量はかなり判断できます。答えが曖昧なまま契約を急がせる相手とは、長期の契約を結ぶべきではありません。

断る選択肢を持っておく

必要ないと判断したなら、導入しないという結論で構いません。そのうえで、基本の対策だけは確実に実施してください。それだけでも守られる範囲は大きく変わります。

また、いま不要でも状況は変わります。従業員が増えた、社内にサーバーを置いた、取引先から求められた。そうした変化があったときに、改めて検討すればよいという考え方で問題ありません。

まとめ｜必要かどうかは自社の環境で決まる

UTMが不要と言われる理由には、根拠のあるものが含まれています。効果が見えにくいこと、リース契約の縛りが強いこと、そして社外での業務が増えて境界を守るだけでは足りなくなったこと。いずれも事実です。

一方で、社内にサーバーや共有フォルダーがある、端末が多くて個別管理が難しい、取引先から対策を求められているといった環境では、導入の効果が出やすくなります。自社がどちらに近いかで判断が変わります。

押さえておきたいのは、UTMの設置を義務づける法律はないということ、そして国が中小企業に最初に求めているのは基本の5項目であって専用機器ではないということです。順序を間違えると、費用をかけても守られません。

提案を受けたら、いまの機器で何が足りないのか、5年間の総額はいくらか、警告が出たら誰が対応するのかを質問してください。答えられない相手とは長期の契約を結ばない。これが最も確実な自衛策です。

必要かどうかの判断からご相談ください

自社に必要かどうかの判断からご相談いただけます。基本の対策の整理だけでも構いません。株式会社ライドが対応します。

必要かどうかの判断からご相談ください 必要かどうかの判断材料をお出しします。不要と考えられる場合は、その理由をそのままお伝えします。 お問い合わせはこちらから。